信息系统安全技术安全审计与分析.ppt
《信息系统安全技术安全审计与分析.ppt》由会员分享,可在线阅读,更多相关《信息系统安全技术安全审计与分析.ppt(61页珍藏版)》请在三一文库上搜索。
1、信息系统安全技术 -安全审计与日志分析,何长龙 高级工程师,目 录,专业安全审计系统体系结构分析 网络信息系统安全审计综述 审计与日志分析 审计结果分析,安全审计系统的必要性,一旦我们采用的防御体系被突破怎么办?至少我们必须知道系统是怎样遭到攻击的,这样才能恢复系统,此外我们还要知道系统存在什么漏洞,如何能使系统在受到攻击时有所察觉,如何获取攻击者留下的证据。网络安全审计的概念就是在这样的需求下被提出的,它相当于飞机上使用的“黑匣子”。,安全审计系统的必要性(续),在TCSEC和CC等安全认证体系中,网络安全审计的功能都是方在首要位置的,它是评判一个系统是否真正安全的重要尺码。因此在一个安全网
2、络系统中的安全审计功能是必不可少的一部分。网络安全审计系统能帮助我们对网络安全进行实时监控,及时发现整个网络上的动态,发现网络入侵和违规行为,忠实记录网络上发生的一切,提供取证手段。它是保证网络安全十分重要的一种手段。,CC标准中的网络安全审计功能定义,网络安全审计包括识别、记录、存储、分析与安全相关行为有关的信息。国际标准化组织(ISO)和国际电工委员会(IEC)发表了【信息技术安全性评估通用准则2.0版】(ISO/IEC15408),俗称CC准则,目前它已被广泛地用于评估一个系统的安全性。在这个标准中对网络审计定义了一套完整的功能,有:安全审计自动响应、安全审计数据生成、安全审计分析、安全
3、审计浏览、安全审计事件存储、安全审计事件选择等。,安全审计自动响应,安全审计自动响应定义在被测事件指示出一个潜在的安全攻击时作出的响应,它是管理审计事件的需要,这些需要包括报警或行动,例如包括实时报警的生成、违例进程的终止、中断服务、用户帐号的失效等。根据审计事件的不同系统将作出不同的响应。其响应方式可作增加、删除、修改等操作。,安全审计数据生成,该功能要求记录与安全相关事件的出现,包括鉴别审计层次、列举可被审计的事件类型、以及鉴别由各种审计记录类型提供的相关审计信息的最小集合。系统可定义可审计事件清单,每个可审计事件对应于某个事件级别,如低级、中级、高级。,产生的审计数据有以下几方面,对于敏
4、感数据项(例如,口令通行字等)的访问 目标对象的删除 访问权限或能力的授予和废除 改变主体或目标的安全属性 标识定义和用户授权认证功能的使用 审计功能的启动和关闭,每一条审计记录中至少应所含以下信息: 事件发生的日期、时间、事件类型、主题标识、执行结果(成功、失败) 、引起此事件的用户的标识以及对每一个审计事件与该事件有关的审计信息。,安全审计分析,此部分功能定义了分析系统活动和审计数据来寻找可能的或真正的安全违规操作。它可以用于入侵检测或对安全违规的自动响应。当一个审计事件集出现或累计出现一定次数时可以确定一个违规的发生,并执行审计分析。事件的集合能够由经授权的用户进行增加、修改或删除等操作
5、。,安全审计分析类型,潜在攻击分析 基于模板的异常检测 简单攻击试探 复杂攻击试探 等几种类型。,安全审计分析类型(续),潜在攻击分析:系统能用一系列的规则监控审计事件,并根据这些规则指示系统的潜在攻击; 基于模板的异常检测:检测系统不同等级用户的行动记录,当用户的活动等级超过其限定的登记时,应指示出此为一个潜在的攻击; 简单攻击试探:当发现一个系统事件与一个表示对系统潜在攻击的签名事件匹配时,应指示出此为一个潜在的攻击; 复杂攻击试探:当发现一个系统事件或事迹序列与一个表示对系统潜在攻击的签名事件匹配时,应指示出此为一个潜在的攻击。,安全审计浏览,该功能要求审计系统能够使授权的用户有效地浏览
6、审计数据。包括:审计浏览、有限审计浏览、可选审计浏览。 审计浏览 提供从审计记录中读取信息的服务; 有限审计浏览 要求除注册用户外,其他用户不能读取信息; 可选审计信息 要求审计浏览工具根据相应的判断标准选择需浏览的审计数据。,安全审计事件选择,系统能够维护、检查或修改审计事件的集合,能够选择对哪些安全属性进行审计,例如:与目标标识、用户标识、主体标识、主机标识或事件类型有关的属性。系统管理员将能够有选择地在个人识别的基础上审计任何一个用户或多个用的动作。,安全审计事件存储,系统将提供控制措施以防止由于资源的不可用丢失审计数据。能够创造、维护、访问它所保护的对象的审计踪迹,并保护其不被修改、非
7、授权访问或破坏。审计数据将受到保护直至授权用户对它进行的访问。,安全审计事件存储(续),它可保证某个指定量度的审计记录被维护,并不受以下事件的影响: 审计存储用尽; 审计存储故障; 非法攻击; 其他任何非预期事件。 系统能够在审计存储发生故障时采取相应的动作,能够在审计存储即将用尽时采取相应的动作。,网络安全审计层次结构图,网络层审计,系统层审计,应用层审计,TCP/IP、ATM,UNIX、Windows 9x/NT、ODBC,审计总控,CA发证操作,主页更新监视,安全审计系统体系结构示意图,安全审计系统的典型配置示意图,审计与日志分析,审计与日志分析的参考标准 防火墙和路由器等网络和网络安全
8、设备日志 通用操作系统日志 日志过滤 可疑的活动分析,审计结果,参考审计执行过程 建立设计报告库 安全审计和安全标准 建议性审计解决方案,建议审计执行过程,为了能够确定安全策略和实施情况的差距,建议采用特定方法继续进行有效的审计; 抵御和清除病毒,蠕虫和木马,修补系统漏洞;,建议改善和增强如下内容:,重新配置路由器; 添加和重新配置防火墙规则; 升级操作系统补丁类型; 升级已有的和不安全的服务; 加强网络审核; 自动实施和集中管理网络内部和边界安全;,建议改善和增强如下内容(续),增加入侵检测和网络监控产品; 增强物理安全; 加强反病毒扫描; 加强用户级别的加密; 删除不必要的用户账号,程序和
9、服务; 等等,具体改善建议,建议设计审计报告库,在安全审计报告中应该包括:,总体评价现在的安全级别:你应该给出低、中、高的结论,包括你监视的网络设备的简要评价(例如:大型机、路由器、NT系统、UNIX系统等等); 对偶然的、有经验的和专家级的黑客入侵系统作出时间上的估计; 简要总结出你的最重要的建议;,在安全审计报告中应该包括(续),详细列举你在审计过程中的步骤:此时可以提及一些在侦查、渗透和控制阶段你发现的有趣问题; 对各种网络元素提出建议,包括路由器、端口、服务、登陆账户、物理安全等等; 讨论物理安全:许多网络对重要设备的摆放都不注意。例如,有的公司把文件服务器置于接待台的桌子后,一旦接待
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息系统 安全技术 安全 审计 分析
链接地址:https://www.31doc.com/p-2646758.html